Claudeの悪用事例 — 2026年9月版レポートで見る7つの脅威領域

Anthropicは2026年9月10日、Claudeの悪用事例をまとめた脅威インテリジェンスレポートを公開しました。対象期間は2025年12月から2026年8月までの8か月間です。無効化した事案は7領域に分かれます。サイバー攻撃・影響工作・監視・詐欺・生物学的悪用・通常兵器開発・不正蒸留です。使われたモデルはClaude Haiku・Sonnet・Opusで、不正蒸留の1件を除きFableとMythosクラスのモデルは悪用事例に含まれていません。この記事では、サイバー攻撃とAIサプライチェーンへの攻撃を中心に、日本の開発者やセキュリティ担当者に直接関わる変化を取り上げます。

要点

レポート全体を貫くメッセージは一つです。攻撃の巧妙さは、もはや誰が攻撃しているかを見分ける手がかりになりません。ハクティビストも国家系アクターも、同じ自律型のAI基盤を使い、同等の規模の攻撃を仕掛けています。

• 対象期間は2025年12月〜2026年8月の8か月間。サイバー攻撃・影響工作・監視・詐欺・生物学的悪用・通常兵器開発・不正蒸留の7領域を扱う
• サイバー攻撃は人間の指示を都度受けるだけでなく、検知されるたびに自動でマルウェアを作り直すところまで自律化が進んだ(GTG-20006)
• 盗まれたAPIキーとセッショントークンが攻撃の主戦場になった。詳細が報告された2つの事例では、窃取先はいずれも顧客環境で、Anthropic自身のシステムは侵害されていない
• 未公開のClaudeモデルへのアクセスを狙った攻撃(GTG-50020)は十を超える経路を試みたが、そのすべてが失敗に終わった
• 中国拠点の7つのラボによる不正蒸留が常態化し、Fable 5.1のpreserved thinkingなど新しい対抗策が導入された

Claudeを使う開発チームの防御はどう変わるか

いま攻撃対象になっているのは、AI関連の認証情報そのものです。APIキーやセッショントークンを本番の認証情報と同じ扱いにしていないチームは、対策を見直す価値があります。

APIキーとセッショントークンを本番シークレットとして扱う

攻撃者は、GitHubの公開リポジトリ、モバイルアプリのインストールファイル、Dockerコンテナ、Webサイト、チャットボットなど、あらゆる場所から露出したAPIキーとセッショントークンを収集しています。ShinyHunters系のある攻撃者は、盗んだAPIキー1件を約3週間にわたって二次攻撃の実行に使い回しました。窃取した鍵は、攻撃者に「戦利品」「計算資源」「隠れ蓑」の3つを同時に与えます。

エージェントの自律実行範囲を点検する

ロシア系の攻撃者(GTG-20006)は、セキュリティ製品にマルウェアを検知されるたびに、AIエージェントが自動で検知回避コードへ作り直す仕組みを構築していました。中国系の攻撃者(GTG-10007)は、偵察・脆弱性調査・マルウェア開発を並行して動かす複数のワークフローを、人が離席していても走り続けるように設計していました。一方で、標的選定・成果の収益化・最終レビューといった重要な判断は、いまも人間の手に残っています。線引きが要るのは攻撃側だけではありません。無人で回してよい範囲と、人が最後に確認する範囲の線引きは、防御側にも同じように効いてきます。

割引再販サービスは認証情報の回収口になっている

ある攻撃者は、フロンティアAIモデルへの割安なアクセスを装うWebサイトを構築し、Claude Codeを含む人気のAIハーネス(AIを動かす実行基盤)になりすましたクライアントアプリを配布していました。実態は、被害者の認証情報とセッショントークンをまとめて盗み出すマルウェアです。Anthropicは「AIへのアクセスは正規のチャネルだけを通じて購入すべきだ」と述べ、身元不明の仲介者を経由する格安アクセスの提案自体がリスクだと指摘しています。悪用の検知を組織側でどう強化するかについては、Anthropicが同時期に発表した企業向けの悪用検知の仕組みも参考になります。

7つの領域で何が起きたか

サイバー攻撃 — 検知されるたびにマルウェアを自動で作り直す

ロシア系の攻撃者GTG-20006は、20を超える組織を標的に偵察から侵入、データ窃取までを自動化していました。狙われたのはウクライナ政府や軍、外交関係者、ドローン部品メーカーです。ある国のIT当局への侵入では、30万件を超える国民ID記録と、50万社を超える企業の商業登記データを窃取しています。この攻撃者が使っていた「検知されたら自動で作り直す」運用モデルは、2025年11月に自律型サイバースパイ活動として公表された手口が、あらゆる層のアクターへ広がった結果です。

ShinyHunters系のアクター群(GTG-50014)のうち1人は、180万件のAndroid APKを一括ダウンロードして認証情報を探すパイプラインを使っていました。SaaSベンダーを踏み台に、約200社の下流顧客組織へ侵入する手口も確認されています。あるケースでは、約34時間で40社を超える企業テナントにまたがる2,100件を超えるAzure ADトークンセットを窃取しています。中国系の攻撃者(GTG-10007)は、約50組織を標的にしながら、ある調査ワークフローだけで1か月に十数件のゼロデイ候補を見つけ出す自律的な脆弱性研究プログラムを運用していました。

もう一つの節目は、未公開モデルへのアクセスを狙った攻撃です。ロシア系の金融目的アクター(GTG-50020)は、あるAIベンダーの評価用サンドボックスに不正な指示を注入し、複数プロバイダーの本番APIキーを奪いました。奪った鍵を使って約30社のAI企業を約4日間で連続攻撃し、十を超える経路で未公開のClaudeモデルへのアクセスを試みましたが、そのすべてが失敗に終わっています。ここでも、関わった鍵はすべて顧客環境から盗まれたもので、Anthropic自身のシステムは侵害されていません。

影響工作・監視・詐欺 — 9件の情報操作と国家に紐づく監視

影響工作では、ロシア・イラン・トルコや湾岸・南アジア・アフリカ・欧州発の9件の事案が、6大陸の読者を狙っていました。中央アフリカ共和国向けの事案(GTG-04001)は、ワグネル系のラジオ局を使った国営メディア連携でした。フランスの広告代理店LKM社が運営したとされる事案(GTG-54002)は、約70の偽ニュースサイトと250を超える偽アカウントを使い、8,913本の記事を約20言語で配信していました。マレーシア向けの商用選挙操作プラットフォーム(GTG-84005)は、222の選挙区すべてを対象にした約1,000件の偽アカウント網を運用していました。ある政府高官のアカウントには、100万件の水増し閲覧数を発注する動きも確認されています。

監視領域では、マリの国家情報機関向けにClaudeが主要なエンジニアリング要員として使われ、約2,500万件のSIMカードを対象にした「Lakana 360」という国家規模の監視基盤が構築されていました。裁判所の令状を要求する機能は、運営者側の求めに応じて外されていました。詐欺領域では、20を超える出会い系アプリを運営する事業者が、2週間で4,700を超えるAIペルソナを使い、2万5,000人を超える利用者と会話させていました。利用者が見るフィードは4件に3件がAIペルソナで、残り4分の1の実在ユーザーが「本人確認」の役割を担う構図でした。

通常兵器開発への悪用と新設された評価軸

前回の2025年11月のレポート以降、Claudeを兵器の設計・開発ソフトウェアに使う新しい種類の悪用が確認されました。今回報告されたのは、中国3件・ロシア2件・イエメン1件の計6件です。イエメン北部を拠点とする攻撃者(GTG-87001)は、市販のスマートフォン級フライトコンピューターに搭載する誘導ロケットの制御ソフトウェアをClaude Codeで開発し、実弾での飛行試験まで行いました。試験は失敗に終わり、攻撃者は数時間以内にClaudeへ原因分析を依頼しています。ロシア拠点のチーム(GTG-27005)は、人が最終判断をせずに攻撃対象への突入を判断できる自律型ドローン群のソフトウェアを開発していました。

このレポートと同時に、Anthropicのフロンティアレッドチームは、断片的な情報から人の所在を割り出す戦術的インテリジェンスの標的選定や、移動目標を攻撃するドローン工学といった能力を測る新しい評価軸を公開しています。詳しい評価結果と手法は、通常兵器の標的選定に関する評価レポートにまとまっています。高威力爆薬や兵器開発に関わるやり取りを検知する新しい分類器も、この報告に合わせて導入されました。

生物学的リスクとデュアルユースの難しさ

生物学的悪用の領域では、5件のケーススタディが紹介されています。チクングニア熱ウイルスの機能獲得研究を目的とした申請は、生物学的安全性の分類器がすべてのやり取りを遮断しましたが、運営者はClaudeが拒否したリクエストを別のより制限の緩いモデルへ自動で振り分ける仕組みを用意していました。鳥インフルエンザの哺乳類適応研究に関する事例では、分類器が強く働き、やり取りは最も能力の低いモデル群(Claude Sonnet 4とHaiku 4.5)に限られました。専門家レベルの生物学研究タスクを実行できないモデル群のため、得られた支援は事務的な補助にとどまりました。天然痘に近縁のオルソポックスウイルスに関する研究助成金の申請書は、Opus 5を使って約1時間で作成されており、この申請を扱った再販業者は十数社の顧客に同様のサービスを提供していました。

残る2件は、鎮痛薬や抗うつ薬の開発を名目にした毒素・ペプチド研究で、成果物にはオーストラリア・グループの輸出管理リストが対象とする有毒性の高い配列も含まれていました。こうした研究の多くは、正当な医学研究と見分けがつきにくい「デュアルユース」の性質を持ちます。国家機関に紐づく活動30日分を追加で調査したところ、35件ほどの研究活動が見つかり、その大半は通常の民生科学でしたが、一部にはデュアルユースの懸念が残りました。

不正蒸留 — 中国拠点の7ラボが仕掛けた抽出攻撃

2月の最初の開示以降、中国を拠点とする7つのラボによる不正蒸留攻撃が新たに検知・妨害されています。対象はいずれも一般提供モデルで、限定公開のMythos 5やMythos Previewを狙った試みは確認されていません。規模が桁違いなのはAlibaba(Qwen/Tongyi Lab)関連で、これまでに計測した中で最大規模でした。ピーク時には1日あたり約300万件のやり取りを、3,500を超える不正アカウントから送り込んでいます。5月から7月の間だけで、1億5,100万件を超えるやり取りを記録しました。Moonshot AIは自社のKimiの代わりにひそかにClaudeへリクエストを転送し、10日間で約30万件(大半はOpus)を中継、5月から7月で2,300万件を超えるやり取りを記録しています。この過程では、中国の大手国有企業のエンジニアが、有力テック企業を含む複数の中国大手企業の内部コードと有効な認証情報を含む問い合わせをClaude側へ送っていたことも確認されました。

DeepSeekも同様の手口で、7月の14日間だけで1,210万件を超えるやり取りを記録し、ロシアの政府機関に関連するデータベースの有効な認証情報が含まれる問い合わせも中継されていました。Zhipu(Z.ai)は273の不正アカウントを使い、6月の10日間で77万609件、6〜7月の17日間では340万件を超えるやり取りが記録されています。ZhipuはGLM 5.3の開発に向けてAnthropicのFableモデルのサイバー能力も狙いましたが、強化された防御によって攻撃が失速しました。そのため標的をOpus 4.6と他社の主力モデルへ切り替えています。Xiaomiは3月から4月の20日間で1,500を超えるアカウントを使い、40万件を超えるリクエストを送っていました。

MoonshotやDeepSeekの手口の一つが、Claudeの推論トレースの一部(thinking signature)を別セッションへ再送し、本来使えないはずの推論過程を再現するcross-session replay攻撃でした。これらの攻撃に対し、Claudeはすでに応答前に内部の推論を要約する仕組みを導入しています。さらにFable 5.1では、複数ターンにわたる会話で、推論より前のシステムプロンプトやツール定義、メッセージを新規APIアカウントが書き換えられないようにする「preserved thinking」が導入されました。不正な再販や未対応地域からのアクセスなど、悪用の兆候を検知した場合には、本人確認を要求し、応じないアカウントを停止する仕組みも導入されています。

4回目の脅威レポート — これまでの公開履歴

今回で4回目の脅威インテリジェンスレポートです。過去のレポートとの関係は次のとおりです。

攻撃の自律化は、アクターを見分ける指標を「巧妙さ」から「意図」へ変えた

国家系アクターと個人のハクティビストが同じ規模の攻撃を実行できるようになった理由は、エージェント型AIによる労務コストの圧縮にあります。偵察・エクスプロイト開発・データ処理という、これまで熟練したチームだけが担えた作業が、機械の速度で並列に走るAIハーネスへ移った結果です。攻撃側の投資対効果で見ると、AIの自律性は費用側を圧縮する一方で成功時の見返りはほぼ変わらないため、これまでは割に合わなかった標的まで攻撃対象に入ってきます。巧妙さで攻撃者を分類する手法は、もう機能していません。欧州の政治団体を狙ったGTG-50029の事例はその象徴です。ハクティビスト1人が42標的のうち14に内部侵入し、数千万行規模のdoxxingプラットフォームを構築しました。国家の後ろ盾を持たない個人でも、国家系アクターと並ぶ規模の攻撃基盤を1人で組み上げられることを示しています。

不正蒸留の被害規模を数値付きで公表した姿勢も、業界全体の流れに沿うものと見ることもできます。OpenAIは2025年初めから同種の攻撃に言及しており、Googleも今年、敵対的な蒸留を追跡する仕組みを公開しました。フロンティアラボが被害の実数を開示する慣行が広がれば、業界横断での対策の比較がしやすくなります。

まとめ

7領域のうち、日本の開発チームが今日動かせるのは1点です。APIキーとセッショントークンを、本番のデータベース認証情報と同じ管理下に置くこと。GitHubの公開リポジトリ、Dockerイメージ、モバイルアプリのビルド成果物は、いずれも攻撃者が実際に鍵を拾っている場所です。

エージェントを本番操作に使っているなら、無監督で回している範囲を一度洗い出す価値があります。検知されるたびにマルウェアを作り直す攻防サイクルは、人が承認を挟む速度では追いつきません。非公式の割引再販サービスやなりすましクライアントは、その入口になります。

• 不正蒸留やデュアルユース研究のように、フロンティアラボが被害の実数を自主的に開示する事例は増えている
• 攻撃者の区別は、もはや巧妙さではなく意図で見るしかない